MS16-065 : Description de la vulnérabilité de divulgation d'informations liée au protocole TLS/SSL (CVE-2016-0149) : 10 mai 2016

Option 1 : Passage au protocole TLS 1.2

Cette option permet à l'application d'utiliser le protocole TLS 1.2 en modifiant le Registre ou en configurant par programme la version du protocole.

• Modification du Registre
  
  Important
  Suivez attentivement les étapes de cette section. Des problèmes graves peuvent se produire si vous modifiez le Registre de façon incorrecte. Avant de modifier celui-ci, sauvegardez le Registre pour une restauration en cas de problèmes.
  
  Les applications .NET Framework 4.0 et .NET Framework 4.5.x qui fonctionnent sur NET Framework 4.5 et des versions ultérieures peuvent passer du protocole par défaut vers TLS 1.2, TLS 1.1 et TLS 1.0 en activant la clé de Registre SchUseStrongCrypto. Cette clé de Registre est abordée dans la section Actions suggérées de la rubrique Avis de sécurité Microsoft 2960358 sur le site web de Microsoft TechNet.
  
  Important Cette modification du Registre ne fonctionnera que si les conditions suivantes sont remplies :

  • Les applications qui utilisent des API basées sur ServicePointManager ne définissent pas explicitement la valeur ServicePointManager.SecurityProtocol. Parmi les exemples de telles classes figurent System.Net.Http.HttpClient, System.Net.FtpWebRequest, System.Net.HttpWebRequest et System.Net.Mail.SmtpClient. La définition du ServicePointManager.SecurityProtocol dans le code a la priorité sur le Registre.

  • Les applications utilisent la surcharge SslStream AuthenticateAsClient(String).

  
  

• Configurez la version du protocole par programme
  
  Les applications .NET Framework 4.0 et 4.5 exécutées sur .NET Framework 4.5 et des versions ultérieures et qui utilisent la surcharge SslStream AuthenticateAsClient(String, X509CertificateCollection, SslProtocols, Boolean) doivent être recompilées, en spécifiant SslProtocols.Tls12, SslProtocols.Tls11 et SslProtocols.Tls comme troisième paramètre. Pour obtenir une description complète de l'utilisation de la classe SslStream, reportez-vous à la rubrique SslStream Class sur le site web des développeurs Microsoft (MSDN).
  
  Remarque NET Framework 4.6 et les versions ultérieures utilisent TLS 1.2, TLS 1.1 et TLS 1.0 comme des protocoles par défaut. Cette question est abordée dans l'avis de sécurité Microsoft 2960358 sur le site web Microsoft TechNet.

Option 2 : Traitement des paquets fractionnés

Cette mise à jour fait en sorte qu'un seul enregistrement est divisé en plusieurs. Toutefois, si une application s'attend à ce que l'enregistrement complet soit disponible dans un seul appel Read, de telles applications peuvent s'interrompre. Pour vous assurer que l'application se comporte correctement, vérifiez que l'application traite des paquets fractionnés en effectuant correctement l'appel Stream.Read. Vous pouvez utiliser l'exemple de code disponible ici comme référence pour déterminer comment corriger l'application afin d'effectuer correctement l'appel Read.

Pour obtenir un exemple de requête HTTP qui affiche la différence de comportement avant (avec résolution) et après (sans résolution) les mises à jour 3147461 et 3147458 ont été installées, consultez la section « Plus d'informations ».

Pour obtenir un exemple complet de la méthode Stream.Read, consultez la rubrique Stream.Read Method (Byte[], Int32, Int32) sur le site web pour développeurs Microsoft (MSDN).

Méthode 1 : Mettre à jour les clés de Registre (disponible pour toutes les versions de .NET Framework)

Désactiver la structure SCH_SEND_AUX_RECORD (globalement)

Désactiver la structure SCH_SEND_AUX_RECORD pour des applications individuelles

Solution de contournement

Pour désactiver temporairement le mode sécurisé décrit dans cet article, cliquez sur le lien approprié pour télécharger un fichier .reg, puis double-cliquez sur le fichier .reg téléchargé pour apporter les modifications au Registre.

Pour les applications ciblant Microsoft .NET Framework 3.5 :

Téléchargez maintenant ManualOptOutSchSendAuxRecord20.reg.
Pour les applications ciblant Microsoft .NET Framework 4.0 et des versions ultérieures :

Téléchargez maintenant le fichier ManualOptOutSchSendAuxRecord40.reg
Pour réactiver le mode sécurisé décrit dans cet article, cliquez sur le lien approprié pour télécharger un fichier .reg, puis double-cliquez sur le fichier .reg téléchargé pour apporter les modifications au Registre.

Pour les applications ciblant Microsoft .NET Framework 3.5 :

Téléchargez maintenant le fichier ManualOptInSchSendAuxRecord20.reg.
Pour les applications ciblant Microsoft .NET Framework 4.0 et des versions ultérieures :

Téléchargez maintenant le fichier ManualOptInSchSendAuxRecord40.reg.
Pour plus d'informations sur la procédure de téléchargement des fichiers du support technique Microsoft, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :

119591 Comment faire pour obtenir des fichiers de support technique Microsoft auprès des services en ligneMicrosoft a analysé ce fichier en vue de détecter la présence de virus. Microsoft a utilisé les logiciels de détection de virus les plus récents disponibles à la date de publication de ce fichier. Le fichier est conservé sur des serveurs sécurisés, ce qui empêche toute modification non autorisée du fichier.

Méthode 2 : Modifier la configuration au niveau de l'application (disponible uniquement pour .NET Framework version 4.6 ou des versions ultérieures)

À partir de .NET Framework 4.6, vous pouvez modifier la configuration au niveau de l'application via la configuration du code ou de l'application ainsi que par l'intermédiaire de modifications au niveau du Registre.

Dans .NET Framework 4.6, vous pouvez effectuer la transition en utilisant l'une des méthodes suivantes. Ces exemples désactivent la fonctionnalité de sécurité.

• Par programme
  
  En premier lieu, l'application doit exécuter le code suivant. En effet, le gestionnaire de points de service ne s'initialisera qu'une seule fois.
  

  chaîne constante privée DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; 
  chaîne constante privée DontEnableSchSendAuxRecordName = @"Switch.System.Net.DontEnableSchSendAuxRecord"; 
  AppContext.SetSwitch(DisableCachingName, true); 
  AppContext.SetSwitch(DontEnableSchSendAuxRecordName , true);

• Configuration de l'application
  
  Pour modifier la configuration de l'application, ajoutez l'entrée suivante :
  

  <runtime>
  <AppContextSwitchOverrides value="Switch.System.Net.DontEnableSchSendAuxRecord=true"/>
  </runtime>

• Clé de Registre (à l'échelle de l'ordinateur)
  
  

  Emplacements du Registre :HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\AppContextHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\.NETFramework\AppContext
  Valeur : Switch.System.Net.DontEnableSchSendAuxRecord
  Type : Chaîne
  Valeur : True
  
  Remarque Switch.System.Net.DontEnableSchSendAuxRecord = False pour toutes les applications.